JARM — отпечатки TLS-серверов для поиска вредоносной инфраструктуры

★ 1.3K

JARM — это открытый инструмент Salesforce для активного снятия отпечатков TLS-серверов: он опрашивает сервер и выдаёт короткий хеш, по которому видно, как настроен его TLS. Его берут, когда нужно быстро проверить, что у всех серверов группы одинаковая конфигурация TLS, когда хочется сгруппировать разрозненные серверы в интернете по настройкам и понять, принадлежит ли сервер Google, Salesforce или Apple, когда нужно опознать типовые приложения и инфраструктуру или найти серверы управления вредоносным ПО. Внутри — скрипт на Python: jarm.py принимает домен или IP, порт, файл со списком целей, прокси и умеет писать результат в файл, а jarm.sh быстро прогоняет большой список адресов в CSV. Поддержку отпечатков JARM добавили Shodan, Censys, SecurityTrails, BinaryEdge, RiskIQ и Palo Alto Networks, поэтому найденный хеш можно искать и в этих сервисах. JARM не заменяет сканер уязвимостей — это способ сравнивать и классифицировать серверы по поведению TLS. Инструмент двойного назначения: сканируйте только свои системы или те, на проверку которых у вас есть разрешение.